商业与技术洞察公司Gartner发布的《2026中国网络安全技术成熟度曲线》显示，中国网络安全重心已全面转向“保障AI系统自身安全”与“严格责任下的韧性建设”，技术演进由合规驱动加速迈向实战化、自主化与智能化。

Gartner高级研究总监陈延全介绍，2026年，中国网络安全格局正由三方面因素共同塑造：人工智能（AI）的加速融合、更为严格的监管执法，以及地缘政治压力下的技术自主需求。

首先，AI正从实验性的生成工具向代理型智能体演进，能够自主执行多步骤操作，使威胁不再限于数据泄露，更延伸至未授权操作与工具滥用。企业机构正优先构建健全的信任、行为监控和身份管理框架，以治理数量激增的非人类主体及复杂应用编程接口（API）交互。

其次，随着《中华人民共和国网络安全法》修订落地，发生重大安全事件时，责任人员将面临严厉个人经济处罚，形成高风险的“合规悬崖”。企业被迫将隐私政策转化为可审计的数据映射、动态访问控制与持续风险评估，以保障混合环境和复杂AI数据管道中的敏感信息安全。

再者，数字资产快速扩张与云原生转型，加上国家级攻防演练常态化，使传统定期漏洞扫描难以为继。安全团队转向持续性、自动化的攻击面验证，以实证方式评估风险可利用性，并基于业务影响优先级而非理论评分进行处置，从而在有限资源下提升网络韧性。

最后，地缘压力与国产化政策合力，推动从自研硬件、开源组件到本土密码标准的全面技术自主。同时，安全高效连接分布式员工与混合云环境的需求，推动网络与安全架构融合，企业正整合厂商、推行统一云安全体系，并将安全能力内嵌至软件供应链，以此降低运营成本，并确保长期韧性。

SASE、SSE和DRA成为本年度发展最快的技术

Gartner网络安全技术成熟度曲线将技术的生命周期划分为五个关键阶段，即技术萌芽期、期望膨胀期、泡沫破裂低谷期、稳步爬升复苏期和生产成熟期。本次报告重点关注前四个阶段。

报告显示，安全访问服务边缘（SASE）、安全服务边缘（SSE）和数据风险评估（DRA）成为本年度发展最快的技术。

SASE与SSE的快速普及，主要受两大因素驱动：一是企业加速向零信任架构转型，以支撑混合办公模式下的“随时随需”安全接入；二是防范影子AI风险的紧迫需求日益凸显，叠加本土产品日趋成熟，为企业提供了更灵活、一体化的部署选择。而数据风险评估重要性的提升，主要体现在三个方面。首先，随着中国数据安全监管政策的日益严格，数据风险评估已成为企业风险管理的重要组成部分。其次，生成式AI和数据共享场景的快速扩展，带来了更为隐蔽的数据泄露风险。最后，新国标GB/T 45577-2025《数据安全技术 数据安全风险评估方法》的出台，为企业提供了正式、国家认可的数据风险评估方法，并正在逐步取代以往零散的、不规范的实践方式。

五项创新技术被首次纳入

相比去年，本年度技术成熟度曲线首次纳入五项创新技术，分别聚焦AI安全、身份管理、后量子密码及云原生防护，反映了中国企业在数字化纵深推进中面临的新兴风险与应对实践。

图1  2026年中国网络安全技术成熟度曲线（图源：Gartner）

（1）代理型AI网络安全位列技术萌芽期。受“AI+”战略驱动，国内企业率先落地AI智能体，这类目标驱动型系统带来了复杂的工具链调用和跨系统编排等非传统、不可预测的风险，传统的应用安全或身份为中心的安全控制已难以进行有效治理。与此同时，监管与企业高层对智能体行为可控性及责任追溯的要求日益严苛，推动实时监控机制与嵌入式安全标准的快速部署，使得该项技术正式进入成熟度曲线。

（2）AI网络安全测试同样处于萌芽阶段。伴随AI应用从实验性试点迈向规模化生产，提示注入、模型攻击等新型攻击面加速暴露，传统渗透测试与漏洞扫描工具难以应对上述威胁。为响应国内AI治理法规对风险评估流程与可审计证据的明确要求，AI网络安全测试被纳入今年的技术成熟度曲线。又因企业普遍偏好本地化部署，带动了对具备本地执行能力的专业测试工具的需求，促使该技术入选本年度曲线。

（3）机器身份与访问管理已步入期望膨胀期。API、微服务及AI智能体驱动机器身份数量急剧膨胀，远超人类身份规模，机器身份管理变得至关重要。尽管国内对云计算采用相对审慎，机器身份管理长期滞后于全球进展，但近期AI智能体应用激增，成为推动机器身份管理现代化的主要动力。企业日益意识到，安全的机器间交互是零信任架构的基石。

（4）后量子密码处于技术萌芽期（成熟度等级为孵化阶段）。量子计算技术的突破性进展，使现有主流加密算法——包括国际通用算法及国密SM2、SM9——面临被破解的现实威胁。国家密码管理局已于2025年启动新一代商用密码算法征集计划，加速本土抗量子标准研制。面对“先窃取、后解密”的攻击手法，部署后量子密码已成为当务之急，特别是在政府、金融及关键基础设施等领域。

（5）容器安全已达稳步爬升复苏期（成熟度等级达到成型/主流采用起步阶段，正在迈向主流采用成熟）。云原生转型已成为中国数字化转型的重要支撑，然而微服务架构快速扩展带来的安全复杂性远超现有安全团队运维能力，企业普遍面临安全工具泛滥及在碎片化混合基础设施中统一实施安全策略的挑战。通过与DevSecOps流程深度整合，以及自动化扫描在持续集成/持续交付（CI/CD）管道中的应用，容器安全已从基础运行时防护演进为体系化防御手段，成为企业云原生建设的标配环节。

关键技术与趋势解读

今年的网络安全技术成熟度曲线共包含20项相关技术，它们分别位列于曲线不同的发展阶段。那些已经成熟、厂商的产品也趋于同质化的技术，曲线不再追踪，已在曲线中移除，比如“数据分类”“安全信息和事件管理（SIEM）”与“零信任网络访问（ZTNA）”均已进入生产成熟期；“物联网身份验证”被更全面的“机器身份与访问管理（Machine IAM）”所涵盖；“威胁暴露面管理（TEM）”则被拆解为持续威胁暴露面管理（CTEM）的具体执行组件（如AEV与EAP）。

图2  2025年中国网络安全技术成熟度曲线（图源：Gartner）

“网络安全AI助手”本质上是将AI能力嵌入安全工具。去年该技术尚处于“期望膨胀期”，因市场兴趣降温，且其功能正快速普及化，今年已滑入“泡沫破裂低谷期”。目前，国内众多产品已能轻松调用这类助手，或在现有安全平台上，于事件分析与溯源过程中随时与AI互动——上传数据、发起问询、获取分析结果。这种易用性的提升，标志着该技术正从概念热炒走向常态应用。

“数据安全态势管理”去年尚处初期，但发展迅速。其核心价值在于对数据流动的监测、风险检测与告警。在AI场景下，它能通过流量分析有效识别“影子AI”的使用。同时，在金融、政务等合规严苛的行业，该技术可及时发现数据跨边界流转等潜在泄漏风险。所以Gartner预测，“数据安全态势管理”未来几年还是会持续发展。

“AI安全网关”易于从现有API网关延伸拓展，因此不少厂商正是由传统API安全厂商转型而来。该技术聚焦AI服务调用的统一收敛、身份管理与Token流量监控，发展迅速。该技术去年已被纳入研究范围。

暴露面管理已整合去年的“威胁暴露面管理”，升级为“暴露面评估平台”。这一转变标志着安全策略从被动防御向积极的管理暴露面主动治理演进，是关键的技术跃升。预计该领域未来几年将保持持续发展势头。

企业应该如何选择？

目前，生成式AI和自主智能体已逐渐从试点走向生产环境，企业在将AI集成到核心业务时，也面临诸多安全问题以及常见误区。比如，数据安全治理仍以事后单点式管理为主，系统性治理尚不充分；关于影子AI风险的应对，不少企业仍存在误区。其中一个常见误区即认为依赖模型自带的护栏即可，尤其在国内，模型对外开放虽需通过备案与安全审查，但业务场景中的数据流转与用户行为，往往超出模型自身规范能力，单纯依赖模型本身并不足够。另一个常见误区是，认为将开源模型本地部署于内网便天然安全（即“主权陷阱”）。实际上，开源模型的安全性不仅取决于模型自身，还高度依赖周边环境与运维防护能力。本地部署并不必然优于部署在可靠的公有云环境，云服务商往往能提供更专业的基础设施与安全防护。因此，企业应从全局视角审视AI安全，结合使用场景、数据流动与合规要求，构建多层次防护体系，而非寄望于单一环节或部署方式。

而面对众多安全技术，在资源有限的条件下，企业应如何选取呢？Gartner高级研究总监陈延全建议，除了技术成熟度曲线上面的技术阶段（Phase）、商业受益评级（Benefit Rating）、主流采用年限（Years to Mainstream Adoption）以及市场渗透率（Market Penetration）这四大核心维度之外，企业还应结合自身的环境就绪度、预算约束以及市场上厂商解决方案的成熟度等。

对于处于“技术萌芽期”的新技术，陈延全介绍，通常只有安全运营成熟度较高的企业才会率先尝试。因为这类技术在市场上缺乏规范化的评估标准，产品的性能、能力及检测效果往往需要通过定制化方式验证，因此需要企业具备较强的安全运营基础。

针对“期望膨胀期”的技术，企业需保持理性。该阶段技术常受厂商营销影响，可能存在过度宣传，选择时应结合公司内部实际能力，避免盲目跟风。

当技术步入“泡沫破裂低谷期”，客户已积累真实使用反馈，此时更关注实际效益。企业会重点评估技术是否带来明确ROI、能否有效发现软件漏洞、告警降噪效果是否提升等，更加注重性价比与实际产出。

而处于“稳步爬升期”的技术，企业则更关注规模化部署能力。不再局限于少数试点系统，而是希望能够在全集团范围内落地，例如SASE是否支持企业级大规模部署。

在新技术的引入过程中，陈延全建议优先选择支持开放API、并能与现有网络及端点安全架构高效整合的产品，这直接关系到基础操作性与集成效率。同时，数据合规与本地化能力同样关键，尤其需重视本地化部署。若厂商的策略执行点位于企业外部，强制依赖其云端服务甚至跨境节点，则不仅难以满足本地化交付要求，还可能带来数据跨境合规风险。综上，除技术成熟度曲线、市场渗透率及业务影响外，务实地评估产品的集成开放性与本地化部署能力，是客户决策的重要考量方向。